Inga produkter i varukorgen.
Krönika: NIS2-deadline passerad – endast ett fåtal länder har implementerat
Krönika Trots högt ställda förväntningar och ambitioner om ett mer harmoniserat och robust cybersäkerhetslandskap ligger många EU-länder efter i implementeringen av NIS2, direktivet som syftar till att stärka cybersäkerheten inom EU. Det skriver Andreas Gotthardsson, sakexpert hos cybersäkerhetsföretaget Fortinet i en krönika.
Andreas Gotthardsson, foto: Fortinet.
Trots att deadline för implementering av NIS2 i nationell lagstiftning var i oktober 2024 har endast ett fåtal länder, fem av 27, lyckats införliva direktivet fullt ut. Sverige, som exempel, väntas implementera NIS2 tidigast sommaren 2025. Denna försening är inte bara en administrativ fråga, utan signalerar en bredare utmaning i att anpassa nationella cybersäkerhetsramverk till direktivets ambitiösa omfattning och krav. Fördröjningen skapar osäkerhet och hotar det övergripande målet om en enhetlig och stark cybersäkerhetsstrategi inom EU.
Harmonisering kontra lokala förhållanden
I grunden syftar direktivet till att konsekvent identifiera och reglera viktiga aktörer inom olika sektorer. Men i praktiken visar sig harmonisering vara en komplex och utmanande uppgift. För mindre länder kan direktivets strikta kategorisering av kritisk infrastruktur vara problematisk. I Island som exempel, kan en relativt liten livsmedelsproducent med ett fåtal anställda ändå vara avgörande för den nationella livsmedelsförsörjningen och därmed utgöra en kritisk funktion. Att tillämpa direktivet på ett sådant företag, som annars skulle falla utanför direktivets omfattning på grund av sin storlek, är en fråga som inte är fullt adresserad i direktivets generella formuleringar.
Denna konflikt mellan centraliserad reglering och lokala nyanser understryker en grundläggande utmaning: Hur kan EU säkerställa en konsekvent tillämpning och undvika fragmentering av marknaden utan att samtidigt bortse från unika nationella kontexter? Att hitta en balans mellan dessa två prioriteringar blir avgörande när fler medlemsländer arbetar med implementeringen, särskilt med tanke på den gränsöverskridande naturen hos digitala tjänster, inklusive cybersäkerhetstjänster.
Nationella och regionala cybersäkerhetsmyndigheters växande roll
Mitt i komplexiteten kring NIS2-implementeringen ser vi en positiv utveckling: nationella cybersäkerhetsmyndigheter tar en alltmer aktiv roll i att erbjuda stöd, vägledning och resurser till organisationer. Dessa initiativ ger praktisk hjälp och vägledning, vilket underlättar för organisationer att bedöma sin beredskap och vidta nödvändiga åtgärder för att uppnå efterlevnad.
På EU-nivå spelar Europeiska unionens byrå för cybersäkerhet (ENISA) en central roll i att stödja och harmonisera implementeringen av NIS2 i medlemsländerna. ENISA har publicerat en rad viktiga riktlinjer, utkast till policyer och andra resurser som hjälper till att överbrygga skillnader mellan nationella strategier och tolkningar av direktivet. Ett exempel är ENISA:s utkast till teknisk vägledning för NIS2 från november 2024, som ger ytterligare råd om implementering av cybersäkerhetsåtgärder.
Risker med förseningar
Förseningarna i implementeringen av NIS2 är mer än bara administrativa flaskhalsar. De leder också till betydande risker för både den offentliga och privata sektorn. För offentliga förvaltningar, varav många ansvarar för kritisk infrastruktur, kan avsaknaden av tydliga riktlinjer leda till allvarliga säkerhetsluckor. Osäkerheten kring de juridiska aspekterna av direktivet, som uppstår på grund av förseningarna, kan skapa dilemman för organisationer som försöker navigera i en oklar regleringsmiljö. Den delvis själv-utförande naturen hos NIS2 innebär att vissa delar av direktivet kan vara tillämpliga även i länder där det ännu inte formellt införlivats i nationell lag. Detta väcker frågor om hur organisationer ska prioritera sina insatser när förväntningarna är tvetydiga och oklara.
Möjligheter till engagemang
Trots utmaningarna erbjuder NIS2 stora möjligheter till positiv förändring och transformation. Direktivets fokus på riskhantering, incidentrapportering och säkerhet i leveranskedjan ger organisationer ett ramverk för att stärka sin cybersäkerhet på ett meningsfullt sätt. NIS2 uppmuntrar organisationer att tänka bortom minimikrav för efterlevnad och i stället sträva efter en mer robust och adaptiv säkerhetsstrategi. För organisationer som verkar i flera jurisdiktioner kan detta innebära att anta en ”högsta gemensamma nämnare”-strategi för efterlevnad, vilket säkerställer beredskap även i de striktaste regulatoriska miljöerna.
Hur ska EU hantera skillnaderna i medlemsländernas implementeringstakt? Vilken roll kommer organisationer att spela i att driva efterlevnad? Hur kan direktivet utvecklas för att bättre anpassas till lokala förhållanden? Dessa frågor är centrala för NIS2:s framgång.NIS2 är en komplex utmaning men också en viktig möjlighet. Framgången beror på ett samarbete mellan medlemsländer, organisationer och tillsynsmyndigheter.
Andreas Gotthardsson, Fortinet
Denna artikel var tidigare publicerad på tidningen telekomidag.se
